Pesquisadores extraem chaves secretas de aparelhos de segurança | SuaInternet.COM
Tokens usados em certificados digitais brasileiros estão na lista. SecurID, da RSA, também está entre os aparelhos vulneráveis.
As chaves criptográficas armazenadas em tokens USB e smartcards podem ser "adivinhadas" por meio de um ataque desenvolvido por um grupo de seis pesquisadores europeus. A técnica envolve o uso de uma função dos dispositivos que, indiretamente, revela informações sobre a chave de segurança. Com milhares de tentativas, é possível calcular a chave usada.
Os tokens USB que armazenam chaves de criptografia são usados para que um certificado digital não seja armazenado diretamente no computador. Como um mero arquivo no disco poderia ser facilmente roubado por uma praga digital, os tokens e smartcards têm o objetivo de realizar as operações criptográficas em um ambiente seguro, protegendo a chave secreta contra roubo por quem tiver acesso físico ao dispositivo. A técnica usada derrota a proteção oferecida.
O ataque desenvolvido pelos pesquisadores é baseado em outros ataques já conhecidos, mas foi melhorado para conseguir extrair as chaves em menor tempo. É possível roubar uma chave de um token SecurID da RSA em 13 minutos. O ataque mais lento ocorre em smartcards do padrão Cyberflex, da Gemalto, levando 92 minutos. O grupo irá apresentar o trabalho na conferência CRYPTO 2012, que ocorre em agosto na cidade de Santa Barbara, na Califórnia (EUA), mas o texto já está disponível (acesse aqui).
Na lista de dispositivos testados pelos pesquisadores está o eTokenPro, da Aladdin. Esse token USB é credenciado no Brasil para uso em certificados emitidos pela ICP-Brasil, como o e-CPF e o e-CNPJ. Igualmente usado por certificados da ICP, o Ikey também está na lista de aparelhos, e o token testado teve a chave extraída em 88 minutos.
O G1 entrou em contato com o Instituto Nacional de Tecnologia da Informação (ITI) para saber se os aparelhos específicos usados no Brasil também estariam vulneráveis, mas não houve resposta até a publicação da reportagem.
Os especialistas entraram em contato com todos os fabricantes testados na pesquisa. Quase todos planejam algum tipo de melhoria para aumentar a segurança dos aparelhos. No entanto, pode ser que o problema não seja resolvido. No caso da RSA, por exemplo, a opinião dos pesquisadores é de que a solução que a empresa pretende adotar apenas aumenta o tempo necessário para extrair a chave, mas não impossibilita que isso aconteça.
O ataque também compromete os cartões de identidade digital usados na Estônia. O governo estoniano não pretende adotar nenhuma medida de segurança, porque, para eles, o ataque não compromete o cartão nas situações em que ele é usado.